| Resolución | REPOSICION-PS-00499-2024 |
| Firmado | 2026-04-29T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisão:
La resolución se refiere a un procedimiento sancionador contra DIGI SPAIN TELECOM, S.L.U. por vulnerar el artículo 6.1 del RGPD (licitud del tratamiento de datos personales). Se denuncia que la empresa emitió y entregó un duplicado de la tarjeta SIM de un cliente a un tercero sin su consentimiento, facilitando así el acceso fraudulento a sus datos personales y cuentas bancarias. El tercero suplantó al titular legítimo mediante un DNI falsificado, lo que permitió realizar operaciones no autorizadas.
La sanción impuesta a DIGI fue de 140.000 euros, justificada por:
Tratamiento ilícito de datos: La empresa no garantizó la identidad del solicitante del duplicado, incumpliendo así el principio de licitud del tratamiento (art. 6.1 RGPD).
Negligencia en las verificaciones: Aunque DIGI tenía protocolos de seguridad, no aplicó controles suficientes para detectar el fraude (ejemplo: no validó la coincidencia completa del DNI ni cuestionó inconsistencias como la ubicación de la solicitud fuera de la residencia del titular).
Agravantes:
Grado de responsabilidad: DIGI es un operador de telecomunicaciones con recursos para implementar medidas robustas de verificación.
Infracciones anteriores: Existían precedentes similares en procedimientos sancionadores previos contra la misma empresa.
Vinculación con la actividad: El tratamiento de datos es inherente a su negocio, lo que exige mayor diligencia.
DIGI alegó que actuó con diligencia y que el fraude fue cometido por un tercero, pero el órgano sancionador determinó que la entidad no demostró haber implementado medidas proporcionales al riesgo, como exige el RGPD. La sanción se considera proporcional y disuasoria, ya que:
Se tuvo en cuenta su volumen de negocio (644 millones de euros en 2023).
Se descartaron atenuantes como la ausencia de beneficios o la cooperación con la autoridad, ya que no compensaban la gravedad de la negligencia.
La resolución desestimó el recurso de reposición presentado por DIGI, confirmando la multa y reiterando la obligación de las empresas de velar por la seguridad de los datos, especialmente en procesos sensibles como la emisión de duplicados de SIM.