La Agencia Española de Protección de Datos (AEPD) desestimó el recurso de sustitución presentado por Digi Spain Telecom y confirmó la sanción de 120 000 euros por la infracción del artículo 6. 1 del Reglamento General de Protección de Datos (RGPD), derivada del tratamiento ilícito de datos personales tras la emisión no autorizada del duplicado de una tarjeta SIM, según el expediente al que ha tenido acceso EL PAÍS / Cinco Días. Sigue leyendo.
El operador rumano, que ha agotado todas las vías de recurso, defiende el refuerzo de sus protocolos de seguridad para evitar cualquier fraude.
Feed MRSS-S News
La Agencia Española de Protección de Datos (AEPD) desestimó el recurso de apelación interpuesto por Digi Spain Telecom y ratificó la sanción de 120 000 euros por la infracción del artículo 6. 1 del Reglamento General de Protección de Datos (RGPD), derivada del tratamiento ilícito de datos personales tras la emisión no autorizada del duplicado de una tarjeta SIM, según el expediente al que ha tenido acceso EL PAÍS / Cinco Días. La ratificación de este expediente consolida un importe acumulado de sanciones impuestas por el organismo regulador a Digi, que asciende a aproximadamente 2 millones de euros, según la relación a la que ha tenido acceso este diario. El operador aún no ha abonado ninguna cantidad en el recurso ante la Audiencia Nacional, con la suspensión provisional del pago hasta que el tribunal se pronuncie. El procedimiento administrativo se inició a raíz de la reclamación de un abonado que sufrió la interrupción de su servicio telefónico el 8 de enero de 2022. En esa fecha, un tercero obtuvo el duplicado de la tarjeta SIM en un punto de venta presencial. El estafador utilizó la línea telefónica para interceptar los mensajes de texto de verificación enviados por el banco y realizar transferencias y cargos no autorizados a la cuenta corriente de la víctima. Durante la tramitación, el operador no facilitó una copia del documento de identidad ni de la denuncia de robo presentada por la persona que solicitó el duplicado. En la fase de recurso, Digi solicitó el expediente alegando que sus sistemas de seguridad habían sido burlados mediante el uso de documentación falsa por parte de un tercero. La empresa alegó la ausencia de responsabilidad y rechazó la aplicación de una responsabilidad objetiva. La AEPD volvió a desestimar, en una resolución adoptada el pasado mes de agosto, los argumentos de la empresa de telecomunicaciones al afirmar que la técnica de «SIM swapping» constituye un riesgo previsible dentro del sector de las redes y servicios de comunicaciones. El regulador llegó a la conclusión de que Digi actuó con negligencia al no verificar las alertas activas en el sistema, como la tramitación de la duplicación procedente de una comunidad autónoma distinta de aquella en la que reside el titular, y por la falta de comprobaciones de identidad, de conformidad con el principio de responsabilidad proactiva. El dictamen también desestimó la petición subsidiaria de reducir el importe de la sanción o de sustituir la multa por una advertencia. El regulador basó la multa de 120 000 euros en los criterios de proporcionalidad y disuasión, señalando que el importe se sitúa por debajo del límite legal del 4 % de la facturación anual de la entidad, calculado sobre una facturación declarada de 664 millones de euros en el ejercicio 2023. La acumulación de sanciones administrativas pone de relieve las deficiencias del operador durante los procesos de identificación de clientes. Las principales resoluciones contra la filial española del operador rumano se refieren a duplicados no autorizados de tarjetas SIM, contratos irregulares y transferencias de líneas sin consentimiento. Entre las sanciones de mayor cuantía impuestas por la EAPD a la empresa se encuentra una multa de 200 000 euros en 2024 debido a deficiencias en la base jurídica utilizada para el tratamiento de datos personales durante un duplicado fraudulento. En ese mismo año, el organismo regulador aprobó otra sanción de 200 000 euros por la entrega de una tarjeta SIM duplicada a un tercero tras una suplantación de identidad que provocó el robo de importes a través de Bizum. La lista de expedientes sancionadores de 2024 incluye también una sanción de 150 000 euros por la activación de una línea mediante el uso no autorizado de datos personales de un tercero, así como una multa de 140 000 euros relacionada con fallos en la verificación en la emisión de duplicados, entre otras. A principios de 2026, la EAPD impuso una multa adicional de 130 000 euros por otro expediente de características similares relacionado con tarjetas SIM duplicadas. La respuesta de Digi. Digi ha recurrido la multa ante el Tribunal Superior de Justicia alegando que la resolución no es firme y que la empresa contaba con medidas de seguridad operativas en la fecha de los hechos. La empresa afirma que ha reforzado los controles de verificación de identidad, la información al titular y los protocolos de investigación para evitar la duplicación fraudulenta de tarjetas SIM. Según fuentes de la empresa, las nuevas herramientas de validación han reducido el margen de fraude, y señalan que la AEPD archivó sin sanción el único caso analizado bajo el protocolo de seguridad vigente. El operador también ha admitido que el total de las sanciones notificadas por la AEPD asciende a aproximadamente 2 millones de euros, lo que en la práctica corresponde a un número limitado de casos de suplantación de identidad gestionados entre 2020 y 2023. Fuentes de la empresa también confirmaron que estas cantidades siguen pendientes de resolución judicial definitiva. Detalle de las llamadas. Paralelamente al expediente sancionador, la AEDD ha evaluado la reclamación presentada por un abonado al que Digi denegó el acceso al detalle de las llamadas entrantes recibidas en su teléfono móvil. El expediente se inició el 11 de julio de 2025 después de que el usuario denunciara la negativa de la empresa a facilitar el registro de las comunicaciones de un día concreto. Digi denegó la información alegando que la Ley 25/2007, sobre la conservación de datos relativos a las comunicaciones electrónicas, limita la cesión de datos de tráfico únicamente a las fuerzas de seguridad y a las autoridades judiciales, previa autorización. La empresa argumentó asimismo que la divulgación de estos datos vulneraría los derechos a la intimidad y al secreto de las comunicaciones de terceros, especialmente de aquellos usuarios que realizan llamadas utilizando la opción de número oculto, de conformidad con la Ley General de Telecomunicaciones. Por el contrario, la resolución de la AEPD determinó que la Ley 25/2007 exige la conservación de datos con fines de investigación penal, pero no introduce limitaciones ni excepciones al derecho de acceso reconocido a los ciudadanos por el artículo 15 del RGPD. En cuanto a los derechos de terceros, el regulador señaló que la protección de la privacidad no permite la denegación total de la información solicitada. El responsable del tratamiento debe adoptar medidas de conciliación, como el ocultamiento de dígitos o fragmentos de texto que puedan perjudicar a otros usuarios, según la agencia.
