| Resolución | REPOSICION-PS-00486-2024 |
| Firmado | 2026-06-03T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
Se impuso a una empresa de telecomunicaciones (DIGI) una multa de 120.000 € por emitir un duplicado de tarjeta SIM a un tercero no autorizado sin verificar adecuadamente su identidad, violando el principio de licitud del tratamiento de datos personales (artículo 6.1 del RGPD). El duplicado se entregó tras comprobar (de manera insuficiente) documentos falsificados, como un DNI y una denuncia de robo, sin que la empresa conservara pruebas de dichas verificaciones.
Motivos de la sanción:
Tratamiento ilícito de datos: La entrega del duplicado a un tercero generó un acceso no autorizado a datos personales del titular legítimo (nombre, apellidos, DNI y línea telefónica), sin base jurídica válida.
Falta de diligencia: La empresa incurrió en negligencia grave al no implementar controles robustos para evitar el «SIM Swapping» (fraude de suplantación de identidad mediante duplicado de tarjeta SIM). Entre las deficiencias:
No confirmó si la tarjeta original estaba activa antes de emitir el duplicado.
No verificó si la solicitud partía del titular real (ej.: se cursó desde otra comunidad autónoma donde el cliente residía).
No guardó copias de la documentación presentada por el supuesto titular en la tienda.
Riesgo objetivo: El duplicado facilitó al estafador el acceso a servicios como banca online o redes sociales mediante códigos SMS de verificación, causando perjuicios al afectado (ej.: cargos fraudulentos en su cuenta).
Circunstancias agravantes consideradas:
Gravedad del impacto: El tratamiento afectó derechos fundamentales del titular (control sobre sus datos personales) y permitió un fraude bancario.
Negligencia grave (art. 83.2.b RGPD): La empresa, con protocolos insuficientes, no detectó señales evidentes de fraude (ej.: solicitud desde localización no habitual del cliente).
Repetición de infracciones: La empresa había sido sancionada anteriormente por casos similares, lo que refleja un patrón de incumplimiento.
Vinculación con tratamiento de datos (art. 83.2.k): Su actividad principal como operadora de telecomunicaciones hace especialmente grave el incumplimiento.
Circunstancias atenuantes:
Cooperación con la autoridad: La empresa aportó documentación durante la investigación, aunque esto no compensó la gravedad de los hechos.
Medidas posteriores: Mejoró sus protocolos tras el incidente (ej.: exigencia de copia de DNI en verificación in situ), aunque se consideró insuficiente para el caso concreto.
Fundamento legal:
Se aplicó el artículo 83.5.a RGPD (por vulnerar los principios básicos del tratamiento de datos) y se gradió la multa considerando:
Volumen de negocio de DIGI (superior a 660 millones de € en 2023), estableciendo el límite máximo en el 4% (25,76 millones €, muy por encima de los 120.000 € impuestos).
Principio de proporcionalidad (efectiva, proporcionada y disuasoria), valorando especialmente la naturaleza del fraude y la negligencia demostrada.
Conclusión:
La multa se mantuvo al ser la sanción adecuada para disuadir futuras negligencias, pese a las alegaciones de la empresa (ej.: responsabilizar a un tercero por falsificar documentos o alegar falta de culpa objetiva). El recurso de reposición interpuesto por DIGI fue desestimado por no aportar nuevos argumentos que pudieran modificar la resolución.