La Audiencia Nacional confirma 200.000 euros de multa a Digi por permitir el duplicado de la SIM de una socia de FACUA a la que suplantaron

La Sala de lo Contencioso de la Audiencia Nacional ha confirmado la multa de 200.000 euros que le impuso la Agencia Española de Protección de Datos (AEPD) a Digi en 2024 por haber permitido el duplicado fraudulento de la tarjeta SIM de una socia de FACUA Euskadi.

Los hechos ocurrieron en 2022 cuando Iratxe, una vecina de Barakaldo, descubrió que habían realizado dos operaciones de Bizum desde su cuenta por valor de 800 euros, cargos que ella no había autorizado. Además, había otros tres intentos fallidos de cerca de 500 euros cada uno.

Cuando contactó con Digi para descubrir cómo podían haber sido autorizados esos cargos desde su número de teléfono, la compañía le confirmó que días antes había entregado una copia de su tarjeta SIM a una persona que lo solicitó en un punto de atención al cliente de la empresa. En ningún caso se comprobó la identidad de esta tercera persona y si estaba autorizada para pedir el duplicado.

Iratxe puso el caso en manos de FACUA Euskadi y, tras la actuación de la asociación, su entidad bancaria aceptó devolverle los 800 euros sustraídos. Además, su equipo jurídico denunció a Digi ante la AEPD por haber permitido el duplicado fraudulento de la SIM, lo que terminó derivando en una multa de 200.000 euros por haber vulnerado el artículo 6 del Reglamento General de Protección de Datos.

Desestima el recurso

Digi presentó un recurso de reposición ante la resolución de la Agencia, al considerar que ella no había incumplido ningún precepto de la normativa de protección de datos y que, en todo caso, esta infracción habría sido realizada por la persona que suplantó la identidad de Iratxe.

Sin embargo, en su sentencia, la Sala de lo Contencioso-Administrativo de la Audiencia Nacional señala que «la expedición inadecuada de la tarjeta SIM» permite a un tercero «acceder a la información confidencial» almacenada en dicha tarjeta, por lo que supone «una clara pérdida de confidencialidad, pues los datos son transmitidos a un tercero ilegítimamente».

Confirma, además, que «la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular», por lo que resulta de aplicación lo dispuesto por al Reglamento General de Protección de Datos.

Así, la sentencia concluye que «DIGI incumplió el deber de proteger la información de su cliente pues dicho tercero (suplantador) consiguió superar la política de seguridad de tienda o punto de venta, existiendo serias dudas relativas al procedimiento seguido en el punto de venta (distribuidora) para la identificación presencial del solicitante del duplicado SIM».

Por tanto, la Audiencia Nacional ha concluido desestimar el recurso de Digi y confirmar los 200.000 euros de multa que le impuso la AEPD en 2023.

Reiteradas infracciones

La Agencia decidió imponer en esta última ocasión una multa mayor a Digi ya que ya había sancionado a la empresa en reiteradas ocasiones anteriormente por esta misma infracción.

En lugar de los 70.000 con los que sancionó a la compañía en otras tres ocasiones por este motivo, fijó esta última multa en 200.000 euros, al considerar como agravante «toda infracción anterior cometida por el responsable».