Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 2250/2021 de 08 de febrero del 2024

PRIMERO .- La parte demandante impugna la resolución de 8 de noviembre de 2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el procedimiento sancionador PS/00021/2021, por la que se impone una sanción de 900.000 euros, por una infracción del art. 5.1.f) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, tipificada como muy grave en el art. 83.5.a) del citado Reglamento.

Tenemos que aclarar en primer término, que el procedimiento sancionador que nos ocupa, es como consecuencia de tres reclamaciones, como pone de relieve la parte actora en el escrito de conclusiones, y no es, como pudiera deducirse de la contestación a la demanda, el procedimiento seguido para gestionar las solicitudes de cambio de SIM por parte de Telefónica Móviles.

Las tres reclamaciones en que se basa la sanción impuesta a las que hace referencia los hechos probados, son las siguientes: <<... TERCERO: Con fecha 13 de diciembre 2019, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante uno (expediente con núm. de referencia NUM000) , dirigida contra THADER, sita en Santa Pola (Alicante), tras expedirse en fecha 6 de marzo de 2019 un duplicado de la tarjeta SIM de la línea NUM001, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante uno-.

Estos hechos fueron denunciados ante los Mossos d'Esquadra USC de Berga (Barcelona) en fecha 8 de marzo de 2019, número de diligencia NUM002, en la que la parte reclamante uno manifestó lo siguiente:

"(...) Que quiere denunciar que le han vuelto a duplicar la tarjeta SIM de su móvil NUM001 y esta vez, han accedido a su banca online del BBVA y han realizado dos transferencias por valor total de 28.000 euros.

Que la primera denuncia con las diligencias arriba indicadas, le duplicaron la tarjeta SIM del móvil pero no se encontró con ningún cobro ni movimiento fraudulento a través de su móvil. Que anuló su tarjeta SIM y se hizo otra nueva con un nuevo número de móvil (...)

Que en fecha 7/03/2019 por la mañana, el denunciante recibió una llamada de su entidad para que se personara en la oficina.

Que una vez en la oficina le dijeron si había hecho algún movimiento extraño desde su banca on line y el denunciante dijo que no.

Que desde la oficina del BBVA le dijeron que había habido dos transferencias desde su cuenta corriente a un tercero por valor de 13.000 y 15.000 euros.

Que esas transferencias son realizadas primeramente desde una cuenta corriente en plan fijo del denunciante a la cuenta corriente de ahorro también del denunciante, y de aquí a una tercera persona.

Que la cuenta corriente final que recibe las transferencias es la NUM003 del BBVA a nombre de Romualdo.

Que la fecha de la transferencia es del día 6/03/2019 por la tarde.

Que precisamente, desde este día por la tarde, el denunciante se quedó con el móvil inoperativo. (...)"...

CUARTO: Con fecha 17 de diciembre de 2019, tuvo entrada en esta Agencia otra reclamación formulada por la parte reclamante uno (expediente con núm. de referencia NUM000) , dirigida contra MOVISTAR CARREFOUR GRANADA, tras expedirse en fecha 5 de febrero de 2019 un duplicado de la tarjeta SIM de la línea NUM004, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante uno-.

Estos hechos fueron objeto de una denuncia ante los Mossos d'Esquadra USC de Berga (Barcelona) en fecha 7 de febrero de 2019, con número de diligencia NUM005 , en la que la parte reclamante uno manifestó lo siguiente:

"Que el día 5/02/2019 por la mañana recibió una llamada de una tienda de Movistar de Alicante con teléfono NUM006 en la que se le informaba que una persona estaba solicitando un duplicado de tarjeta SIM del número de teléfono NUM004 , que corresponde al declarante.

Que concretamente le manifestaron que una persona italiana había ido a cinco tiendas de Movistar de Alicante solicitando un duplicado de tarjeta SIM del número NUM004 y llevaba una denuncia en la cual decía que había perdido su teléfono móvil con el número de teléfono NUM007.

Que también le manifestaron que en el momento que le solicitaban el DNI este chico se iba de la tienda.

Que los de la misma tienda de Movistar le preguntaron si había autorizado un duplicado de tarjeta.

Que el declarante contestó que no.

Que en fecha de hoy el declarante ha ido a la tienda de Movistar de Berga y le han informado que en fecha de ayer a las 21:48h en un Carrefour de Granada habían hecho un duplicado de la tarjeta con su número de teléfono.

Que el código de distribuidor donde se hizo es NUM008 y el número de agente que hizo el duplicado es NUM009.

Que también le informaron que en el momento que se hizo el duplicado el se quedó sin línea telefónica ya que le dieron de baja..."

QUINTO: Con fecha 6 de marzo de 2020, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante dos (expediente con núm. de referencia NUM010), dirigida contra CATPHONE y TME, tras expedirse en fecha 13 de febrero de 2020, un duplicado de la tarjeta SIM de la línea NUM011, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante dos-.

Estos hechos fueron objeto de dos denuncias ante el Puesto P. de las Rozas de la Comandancia de la Guardia Civil de Madrid en fechas 13 y 18 de febrero de 2020, con números de atestado NUM012 y NUM013 respectivamente, en las que la parte reclamante dos manifestó lo siguiente:

En la primera denuncia:

"(...) se ha realizado un duplicado de la tarjeta SIM del teléfono NUM011 no autorizado por el denunciante, que el denunciante sobre las 13:00 al realizar una llamada desde su teléfono este no le permite realizar la misma.

Que empieza a realizar gestiones, se pone en contacto con TELEFONICA MOVISTAR los cuales le informan que ha realizado un duplicado de tarjeta EN UNA TIENDA DE MOVISTAR sita en AVD DE CATALUÑA Nº 46 de la localidad de SANT ADRIÁ DEL BESOS. Que el denunciante le informa que él se encuentra en Madrid y es imposible que haya autorizado ningún duplicado.

Que al tener sospechas fundadas de que esto no era normal realiza comprobaciones en su cuenta bancaria DEL BANCO SANTANDER la cual se encuentra a su nombre, observando varios cargos en la misma no autorizados, siendo estos los siguientes:

Han realizado una compra en la empresa REVOLUT por valor de 2.500 euros

Han realizado una compra en la empresa REVOLUT por valor de 3.500 euros.

(...) que recibió un mensaje el lunes 3 de febrero de su banco de (...) su gestor del banco Santander pidiéndole que se pusiera en contacto con el teléfono NUM014 y que el 10 recibió una llamada del departamento antifraude del Banco Santander informándole que había un intento de manipulación de cuentas desde Brasil, que fue al banco y cambió las claves."

En la segunda denuncia:

"(...) quiere ampliar los datos de los cargos sufridos en su tarjeta ya que le han realizado más cargos de los que no estaba informado el día que hizo la denuncia.

Que el 13 de febrero de 2020 cuando revisaba sus cuentas observa que le han realizado unos cargos los cuales no ha realizado ni autorizado en su cuenta bancaria NUM015 y número de tarjeta asociada NUM016, por un valor de:

Empresa REVOLUT, 13-02.2020, por valor de 2.500 euros

Empresa REVOLUT, 13-02.2020, por valor de 5.500 euros

Que ese mismo día le han realizado el mismo procedimiento en otra cuenta que tiene con la entidad bancaria NUM017 y número de tarjeta asociada NUM018, por un valor de:

Empresa REVOLUT, 13-02.2020, por valor de 2.450 euros

Empresa REVOLUT, 13-02.2020, por valor de 3.500 euros

En relación con esta reclamación, TME, verificó a esta Agencia que, existió una solicitud de cambio de ICC de tarjeta SIM el día 13 de febrero de 2020 a las 11:48 horas a través de la tienda "Catphone Sant Adrià" y que ese mismo día a las 17:12 horas, se solicitó otro cambio de ICC para recuperar la línea en el Punto de Venta "Mobile Phone Mad Majadahonda Gran Plaza".

SEXTO : Con fecha 23 de octubre de 2020, tuvo entrada en esta Agencia una reclamación formulada por la parte reclamante tres (expediente con núm. de referencia NUM019), dirigida contra TME, tras expedirse en fecha 25 de septiembre de 2020, un duplicado de la tarjeta SIM de la línea NUM020 , a favor de una tercera persona distinta a la titular de la línea -la parte reclamante tres-.

Con fecha 25 de septiembre de 2020, a las 14:40 horas, la parte reclamante tres recibió un correo electrónico remitido por movistarcloud@telefonica.com con el Asunto: Confirmación de la baja en Movistar Cloud.

En esa misma fecha, a las 14:53 horas, la parte reclamante tres, respondió manifestando que: "Yo no he cancelado la suscripción. Ha sido un error o un uso no autorizado de alguien. Por favor póngase en contacto conmigo. NUM020"

Con fecha 26 de septiembre de 2020, la parte reclamante tres consultó la aplicación web de TME y constató que como titular de la línea NUM020 figuraba el Sr. Edmundo con NIE: NUM021.

Consta la grabación del cambio de titularidad del servicio solicitada en fecha 25 de septiembre de 2020 -con una duración de 02:12 segundos-, por el Sr. Edmundo con NIE: NUM021, en la que facilita sus datos personales (nombre, apellidos y NIE) y los datos personales de la parte reclamante tres (nombre, apellidos, DNI, número de teléfono fijo y número de teléfono de las dos líneas móviles).

Por estos hechos, la parte reclamante tres, presentó tres denuncias ante el Puesto P. de las Rozas de la Comandancia de la Guardia Civil de Madrid en fechas 28, 30 de septiembre de 2020 y 2 de octubre de 2020, con números de atestado NUM022, NUM022 y NUM023 respectivamente, en las que manifestó lo siguiente:

En la primera denuncia:

"En la tarjeta de debido le han sido realizados un total de tres cargos, sustrayendo un total de 1200 euros.

En la tarjeta de débito le han realizado un total de seis cargos, sustrayendo un total de 3899 euros.

También le han realizado una transferencia a través de BIZUM de 500 euros, destinado a un tal Florian con número de teléfono NUM024 y una recarga bancaria de 1400 euros.

Todo esto hace un total de 6699 euros.

El denunciante manifiesta el posible modus operandi del autor: Que a través de un de un cambio de nombre del titular en su contrato, para la línea perteneciente al número NUM020 , con MOVISTAR vía telefónica, sin su consentimiento, el posible autor realizó el cambio, solicitando una tarjeta SIM a dicha empresa. Anulando la tarjeta SIM del denunciante.

Que tras obtener dicha tarjeta SIM el autor realizó los movimientos bancarios a través de un teléfono móvil, debido a que tras realizar cualquier operación con la entidad bancaria, necesita la aprobación vía SMS del número de teléfono que realiza la operación.

Tras esto el posible autor se metió en la aplicación de la entidad bancaria Santander y a través de HE OLVIDADO MI CONTRASEÑA, dicho banco le envía SMS al número de teléfono asociado a la cuenta bancaria.

Que el cambio de titular de la cuenta de MOVISTAR, el denunciante aporta datos del posible autor: Edmundo NUM021.

Además aporta una transferencia bancaria de 4998 euros que se anuló, la cual iba dirigida a un tal Ignacio, siendo el número de cuenta NUM025 de la entidad bancaria CAIXABANK SA.

Que el denunciante aporta el contrato fraudulento de MOVISTAR con nombre y apellidos del presunto autor, copia de la última factura del contrato legal del denunciante, datos de la transferencia abortada y los cargos realizados."

En la segunda denuncia:

"Se persona en estas dependencias D. Jorge para hacer la siguiente corrección sobre la denuncia presentada.

Que en la diligencia titulada DILIGENCIA DE INICIO POR DENUNCIA DE INFRACCIÓN PENAL MEDIANTE COMPARECENCIA en su párrafo once donde se expresa que todo esto hace un total de 6699 euros debería poner que todo esto hace un total de 6999 euros."

En la tercera denuncia:

"(...) Que el día 01-10-2020 jueves el denunciante se personó en su oficina del Banco Sabadell sita en (...) para recuperar las claves previamente bloqueadas para poder operar.

Que el Banco Sabadell informó que lamentablemente se había emitido una transferencia fraudulenta por importe de 7.003'00 euros a nombre de Florian a la cuenta NUM026 de la entidad bancaria ING motivo por el que se ve obligado a denunciar los hechos para poder recuperar la cantidad defraudada..." >>.

SEGUNDO .- La infracción por la que ha sido sancionada la parte actora se encuentra tipificada en el art. 5.1.f) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante RGPD), que establece: "1. Los datos personales serán:

(...)

"f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<>)". Igualmente, los hechos imputados son también constitutivos de la infracción tipificada en el art. 72.1.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que considera infracción muy grave a los efectos de la prescripción : "El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 ".

Por su parte, el apartado 2 del citado art. 5.1.f), dispone: " El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<>)". Dicho precepto ha de ponerse en relación con lo previsto en el art. 32.2 del RGPD, que en cuanto a la seguridad del tratamiento, señala que : "Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos".

Es decir, el art. 32, como pone de relieve el Abogado del Estado, aunque relacionado con el art. 5.1.f), no circunscribe el principio en su totalidad, pues el reseñado art. 5.1.f) del RGPD requiere para su aplicación una pérdida de confidencialidad. Pérdida de confidencialidad de los datos, que según razona la resolución sancionadora, va acompañada de medidas de seguridad insuficientes.

Por otro lado, el art. 83.5.a) del RGPD, establece: "Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;".

TERCERO.- Los hechos sancionados hacen referencia, como se dice en la resolución recurrida, al fraude conocido como "SIM Swapping", que consistente en obtener un duplicado de la tarjeta SIM asociada a una línea de telefonía titularidad de un usuario, con la finalidad de suplantar su identidad para obtener acceso a sus redes sociales, aplicaciones de mensajería instantánea, aplicaciones bancarias o comercio electrónico, con la finalidad de interactuar y realizar operaciones en su nombre, autenticándose mediante un usuario y contraseña previamente arrebatados a ese usuario, así como con la autentificación de doble factor al recibir el SMS de confirmación en su propio terminal móvil donde tendrán insertada la tarjeta SIM duplicada.

En este sentido, la Oficina de Seguridad del Internauta se señala que el "Duplicado de tarjeta SIM o intercambio de tarjeta SIM -SIM Swapping-" "se basa en la duplicación de nuestra tarjeta SIM, y para ello, los atacantes necesitan algunos datos personales, como nombre y apellidos, DNI, fecha de nacimiento, los 4 últimos dígitos de nuestra cuenta bancaria, etc., que han podido obtener por otras vías, como el phishing o comprando en tiendas online fraudulentas. Con estos datos, los atacantes solicitan un duplicado de nuestra SIM, suplantando nuestra identidad con los datos anteriores ante la operadora. Mientras, lo único que notamos es que nuestro dispositivo se queda sin cobertura móvil, y cuando nos conectemos a una red wifi, comenzaremos a recibir notificaciones de movimientos realizados desde nuestro móvil sin nuestro consentimiento, como transferencias bancarias o compras online, entre otras".

Así mismo, se hace referencia al citado fraude en el informe pericial aportado por la sociedad recurrente elaborado por TARLOGIC SECURITY S.L, que tiene por objeto ofrecer un análisis técnico sobre los aspectos que definen qué es y cómo se desarrolla el fraude bancario que emplea la técnica denominada "SIM Swapping".

El primer motivo de impugnación aducido por la parte actora, es que no puede ser considerada sujeto activo de la infracción imputada, en la medida en que los encargados del tratamiento no han realizado el tratamiento respetando los medios determinados por Telefónica Móviles, y, por tanto, y en virtud de lo establecido en el art. 28.10 del RGPD, deberían haber sido considerados por la Agencia Española de Protección de Datos (en adelante AEPD) como responsables del tratamiento, habiendo iniciado -en su caso - frente a los mismos, el procedimiento sancionador que es objeto de esta litis. Se dice que las tres reclamaciones objeto del procedimiento sancionador, traen causa directa de la actuación de los agentes comerciales de los distribuidores THADER TELECOMUNICACIONES, CATPHONE y ATENTO que, en estos tres casos en concreto, no siguieron las medidas de seguridad implementadas por Telefónica Móviles para las solicitudes de duplicado de tarjeta SIM y cambio de titularidad. Y es que, se argumenta en la demanda, Telefónica Móviles cumplió con todas las exigencias de la normativa de protección de datos, contando con una operativa segura y adecuada al riesgo inherente a estas actividades.

El art. 4 del RGPD, define en el apartado 7 «responsable del tratamiento» o «responsable»: "la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros".

Mientras que en el apartado 8 del citado precepto, se define «encargado del tratamiento» o «encargado»: "la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento".

Tenemos que partir, que la emisión de un duplicado de tarjeta SIM supone el tratamiento de los datos personales de su titular ya que, a tenor del art. 4.1 del RGPD, se considera persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador. Pues bien, dentro del terminal móvil, va insertada la tarjeta SIM. Es una tarjeta inteligente, en formato físico y de reducidas dimensiones, que contiene un chip en el que se almacena la clave de servicio del suscriptor o abonado usada para identificarse ante la red, esto es, el número de línea telefónica móvil del cliente MSISDN (Mobile Station Integrated Services Digital Network -Estación Móvil de la Red Digital de Servicios Integrados-), así como el número de identificación personal del abonado IMSI (International Mobile Subscriber Identity -Identidad Internacional del Abonado móvil-), pero también, puede proporcionar otro tipo de datos como la información sobre el listado telefónico o el de llamadas y mensajes.

Y como se resalta en la resolución recurrida, desde el año 2007, en España, de conformidad con la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, se exige que los titulares de todas las tarjetas SIM, ya sean de prepago o de contrato, estén debidamente identificados y registrados. Por lo que a hora de obtener un duplicado de la tarjeta SIM, la persona que lo solicite haya de identificarse igualmente y que su identidad coincida con la del titular.

Así las cosas, conforme al art. 24.1 del RGPD el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el citado Reglamento. Y por su parte, el art. 28.1 del RGPD dispone : "el responsable del tratamiento elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado".

Responsable y encargado del tratamiento de datos que, sin lugar a duda, resultan asimismo responsables de las infracciones en materia de protección de datos, de conformidad con lo previsto en el art. 82.2 del mismo Reglamento (UE) 2016/679 a cuyo tenor: "Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable".

Por otro lado, el art. 33.2 de la LOPDGDD, establece; " Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679 .

Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades".

Pues bien, la sociedad recurrente es la responsable del tratamiento, pues determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad: "En Movistar tratamos los datos del cliente o usuario para la prestación del servicio, así como para otras finalidades que el mismo permita o autorice en los términos informados en la presente Política de Privacidad o en las Condiciones específicas de cada Producto o Servicio Movistar contratado".

Mientras que las compañías ATENTO TELESERVICIOS ESPAÑA, S.A.U., CATHPONE-NET, S.L. y THADER TELECOMUNICACIONES S.L., tienen la consideración de encargados del tratamiento.

Lo expuesto se deriva de los contratos suscritos por la parte actora con las citadas compañías. Así, del contrato de 1 de noviembre de 2012 de prestación del servicio de tele operación para la atención y desarrollo de clientes y potenciales clientes de la dirección canal telefónico gran público de TELEFÓNICA DE ESPAÑA, S.A.U. con ATENTO TELESERVICIOS ESPAÑA, S.A.U. (folios 2.519 y siguientes del expediente administrativo), y el Convenio de Protección de Datos de carácter personal de 25 de mayo de 2018 (folios 2.659 y siguientes). Y, con las compañías THADER TELECOMUNICACIONES S.L. y CATHPONE-NET, S.L. contratos de distribución de 30 de junio de 2014 (folios 2.217 y siguientes, y 2.411 y siguientes), y en las Adendas modificativas de 25 de mayo de 2018 (folios 2.291 y siguientes y 2.486 y siguientes).

Conforme a dichos contratos THADER TELECOMUNICACIONES S.L. y CATHPONE-NET, S.L., actuarían como distribuidores en establecimientos físicos, para la captación de clientes y realización por estos de determinadas gestiones en su relación contractual con el operador (entre ellas, la expedición de duplicados de tarjetas SIM). Mientras que ATENTO TELESERVICIOS ESPAÑA, S.A.U., actuaría como empresa gestora de un centro de atención de llamadas ("call center") por la cual se realizaría la atención telefónica a los clientes del operador. Y, a través de dicha atención se podrían realizar gestiones de relevancia contractual como el cambio de titularidad de una línea telefónica.

Pues bien, no ha que quedado acreditado que las citadas empresas, como encargadas del tratamiento de la parte actora, hayan determinado fines y medios del tratamiento, ni hayan utilizado los datos de los clientes de aquella para sus propias finalidades, ni han interactuado frente a los interesados ajenos a la estructura y nombre comercial de la sociedad recurrente, sino que han actuado bajo el nombre de la parte actora para el cumplimiento de los fines de estos, utilizando los sistemas de ésta para realizar las operaciones con los clientes. Por lo que, no cabe invocar el art. 28.10 del RGPD para una presunta atribución de responsabilidad a los encargados que, además, implique la exoneración del responsable del tratamiento, es decir, de la sociedad aquí recurrente.

Por otro lado, conforme a los reseñados contratos, se incluye una cláusula que repercute en ellos las posibles sanciones que la sociedad demandante pudiera sufrir por el incumplimiento de las obligaciones en materia de protección de datos.

La parte actora como responsable del tratamiento de datos, habida cuenta del resultado de las tres reclamaciones, no había garantizado una seguridad adecuada en el tratamiento de los datos personales, como se deriva del resultado que produjo la suplantación de identidad. Y, por ello, un tercero consiguió acceder a los datos personales de los titulares de las líneas sin que las medidas de seguridad que existían hubieran podido impedirlo.

Otra prueba de ello, de que las medidas de seguridad en el momento en que se produjeron los hechos no eran las adecuadas, es que, se produjo un cambio en dichas medidas. Y, así se resalta en la resolución impugnada, que: "Se ha constatado que TME ha mejorado la eficacia de los procedimientos tomando acciones, correcciones, introduciendo cambios y refuerzos para mejorar continuamente la prestación de este servicio u otros relacionados con él".

Y, se dice más adelante: "Por consiguiente, la actual política interna de seguridad que aplica TME es coherente con la Directiva PSD2 que obliga adoptar sistemas de "autenticación reforzada de cliente, a pesar no estar incluida en su ámbito de aplicación (artículo 2 ).

La misma afirmación ha de realizarse respeto al "Plan de inspección de oficio sobre contratación a distancia en operadores de telecomunicaciones y comercializadores de energía" que contiene recomendaciones en materia "Verificación de la identidad del cliente en procesos posteriores" y que TME aplica a sus procedimientos...". Y, como se pone de manifiesto, el fraude ha descendido.

En cuanto a que la idoneidad y aseguramiento de las medidas de verificación de la identidad de los clientes utilizada por Telefónica Móviles, ha sido objeto de análisis de la norma UNE 19601 de Sistemas de Gestión de Compliance Penal, el cual ha determinado que dichas medidas son adecuadas, tenemos que señalar que la norma UNE 19601 se ha tenido en cuenta en la resolución sancionadora, como atenuante. Pero es que la obtención de los correspondientes certificados implica el establecimiento de medidas de seguridad adecuadas en materia de protección de datos ya que velan por riesgos distintos del Compliance Penal.

Por lo que, la parte actora como responsable de garantizar la seguridad y confidencialidad de los datos personales tratados, y teniendo en el momento que acontecieron los hechos denunciados unas medidas de seguridad insuficientes, puede ser considerada sujeto de la infracción que se le imputa.

Por otro lado, en cuanto a la Sentencia del Tribunal Supremo de 15 de febrero de 2022 -recurso nº. 7.359/2020- invocada por la parte actora, tenía por objeto la adecuación de las medidas de seguridad de un encargado de tratamiento de Telefónica Móviles S.A.U., y se analizaban las medidas que incumbía al encargado del tratamiento en relación con la legislación entonces vigente en la materia, llegándose a la conclusión, de que no fue utilizado el sistema de forma adecuada, lo que hubiera evitado la filtración de datos de carácter personal. Pero no era objeto las medidas adoptadas por el responsable del tratamiento, Telefónica Móviles S.A.U., como es el caso que nos ocupa, en relación con unas reclamaciones presentadas.

CUARTO.- En segundo lugar, se aduce por la parte actora que no se han cumplido los requisitos exigidos por el derecho administrativo sancionador, esto es, que la conducta sancionada sea típica, antijurídica y culpable.

Respecto a la ausencia de tipicidad, se dice que la AEPD reconoce que Telefónica Móviles ha cumplido con el principio de proactividad (art. 5.2 del RGPD), el cual comporta la obligación de adoptar medidas técnicas y organizativas apropiadas que garanticen el cumplimiento de los principios de tratamiento de datos (art. 5 del RGPD), entre los que se encuentra el principio de integridad y confidencialidad del art. 5.1 f) del RGPD y, además, el ser capaz de demostrar que se están cumpliendo. Por tanto, la conducta de telefónica no puede incluirse en el tipo del art. 5.1 f) del RGPD.

En la resolución recurrida, no se aprecia la vulneración del art. 5.2 del RGPD, ya que "puede afirmarse que, de la instrucción del procedimiento, tal y como se infiere de los Hechos Probados y considerado el contexto del artículo 24 del RGPD en relación con TME, se constató, entre otras, la implementación de un modelo más eficaz de evitación del riesgo de suplantación de identidad, la revisión, refuerzo y mejora de las medidas de seguridad aplicadas en los distintos canales tendentes a asegurar el procedimiento de identificación y entrega de la tarjeta SIM, con el fin de evitar la materialización de los fraudes. También, la reacción inmediata frente a los hechos descritos y la capacidad de la operadora para demostrar su cumplimiento. Por todo lo expuesto, centramos los hechos en la infracción derivada del artículo 5.1.f) del RGPD". Y ello, tuvo un efecto en la sanción que inicialmente se consideró, y que ascendía a 2.000.000 euros.

Y, la infracción del art. 5.1.f) del RGPD, que se le ha imputado a la sociedad demandante, es por el incumplimiento de la garantía de confidencialidad exigida en el RGPD, en relación, además, con la ausencia de medidas de seguridad adecuadas, no garantizando una seguridad adecuada de los datos personales.

Debemos añadir que la AEPD aborda dicha cuestión en la resolución recurrida expresando las razones en que sustenta la aplicación del art. 5.1.f) del RGPD en lugar del art. 5.2 del mismo Reglamento, por lo que no cabe apreciar falta de motivación del acto administrativo, que, además, como señala la Sentencia del Tribunal Supremo de 29 de marzo de 2012 -recurso nº. 2940/2010-, no exige ningún razonamiento exhaustivo.

Por lo que no cabe apreciar lesión de tipicidad, debiéndose desestimar este motivo de impugnación.

Como también procede desestimar la ausencia de antijuridicidad invocada por la parte actora. Según ésta, ha implementado unas medidas técnicas y organizativas adecuadas al tratamiento de datos del que es responsable, y que garantizan su seguridad, siendo conformes con el juicio de proporcionalidad, y adecuadas en función del volumen de operaciones realizadas de este tipo y en consecuencia del riesgo inherente a las mismas, y se realiza un seguimiento de las medidas implementadas, asegurando su cumplimiento en la red de distribución a través de formaciones, recordatorios y en casos de incumplimiento, medidas disciplinarias y de penalización.

Pues bien, la infracción que se le imputa a la parte actora es la del art. 5.1.f) del RGPD, al apreciarse una pérdida de confidencialidad de los datos, que va acompañada de medidas de seguridad insuficientes, como sea expuesto anteriormente.

QUINTO.- La sociedad recurrente considera también que concurre la ausencia de culpabilidad. Se argumenta al respecto, que actuó con la diligencia que razonablemente le resultaba exigible como responsable del tratamiento. Que dispone aquella de un procedimiento consolidado, adecuado y seguro, sino que además; ha puesto en práctica dicho sistema de forma efectiva en su red de distribución; ha demostrado que se realiza un seguimiento de control en la aplicación de estas medidas; y que se pone foco en la formación del canal de ventas para que estas medidas se instauren (refuerzos formativos para toda la red de ventas, sesiones de posibles dudas, publicación de infografías y recordatorios de operativas), y llegando a penalizar a aquellos distribuidores o distribuidores que no cumplen con ellas.

Se añade que correspondería a las entidades bancarias o proveedores de servicios de pago (o resto de prestadores de servicios) actuar con la diligencia que les es exigible para establecer las medidas necesarias para evitar este tipo de acciones por parte de los defraudadores, y decidir sobre la idoneidad de utilizar determinados mecanismos para autorizar la transacción bancaria (en este caso el SMS), pero en ningún caso a Telefónica Móviles.

Y, por otro lado, se dice que se ha producido una actuación ilícita por parte del defraudador que, tras obtener una serie de datos personales, se vale de ellos para tramitar diferentes gestiones, como por ejemplo obtención del duplicado de tarjeta SIM. Y, en consecuencia, Telefónica Móviles es una víctima más y no se le puede exigir, so pena de sanción, un nivel de diligencia, en lo que se refiere al cotejo y validación de documentos, más allá de lo razonable según el contexto en el que se realiza.

El principio de culpabilidad derivado del art. 25 de la CE, según señaló la STC 246/1991, de 19 de diciembre, constituye un principio estructural básico del Derecho administrativo sancionador, y aparece reconocido en el art. 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, al disponer que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas o jurídicas (...) que resulten responsables de los mismos a título de dolo o culpa".

Por ello, como señala la Sentencia del Tribunal Supremo de 18 marzo 2005 -recurso nº. 7.707/2000-, resulta evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa".

Así las cosas, es la falta de diligencia de la sociedad recurrente, como responsable del tratamiento, a la hora de implementar en origen las medidas de seguridad adecuadas para comprobar que la persona que solicita o activa el duplicado de la tarjeta SIM es el titular de ésta, lo que constituye el elemento de la culpabilidad. Dicha falta de diligencia se comprueba con los hechos declarados probados en relación con las tres reclamaciones recogidos en el Primer Fundamento de Derecho.

No podemos olvidar que, para poder efectuar una transferencia, transacción o compra no consentida, el ciberdelincuente deberá acceder ilegítimamente a los códigos de verificación asociados a cada una de esas operaciones remitidos por la entidad bancaria a través de SMS y la manera más habitual de hacerlo, es a través de la obtención de un duplicado de la tarjeta SIM. Y, en dicha obtención de duplicado con insuficientes medidas de seguridad, es por lo que ha sido sancionada la parte actora.

En cuanto al hecho de que nos encontramos ante el fraude de un tercero, la AEPD no ha extendido la responsabilidad de la demandante más allá de sus obligaciones como responsable del tratamiento, no examinando las actuaciones de terceros intervinientes, como serían los suplantadores o las entidades bancarias.

Además, como dijimos en nuestra Sentencia de 21 de noviembre de 2014 -recurso nº. 45/2014 -, en que también era parte recurrente la sociedad aquí actora , en que se recoge lo dicho en la Sentencia de 3 de octubre de 2013 -recurso nº. 54/2012-: "Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa que la propia operadora plasma en el contrato suscrito con la distribuidora".

En consecuencia, concurre el elemento subjetivo de la culpabilidad necesario para poder sancionar, no afectando las medidas de seguridad implementadas con posterioridad, no afectan a la comisión de la infracción, sin perjuicio de que de que hayan sido tomada en consideración como atenuante del art. 83.2.c) del RGPD a la hora de fijar la sanción.

La existencia de la infracción que nos ocupa, en relación con las practicas relacionadas con el llamado "SIM Swapping", ya la apreció esta Sala en la Sentencia de 9 de febrero de 2023 - recurso nº. 770/2021-, recurrida en casación, respecto a la entidad XFERA MÓVILES S.A.U., responsable del tratamiento, que fue considerada autora de la misma.

SEXTO .- La parte actora, con carácter subsidiario, aduce la lesión del principio de proporcionalidad de la sanción, al ser desproporcionada la sanción impuesta, debiéndose disminuirse la misma.

La sociedad recurrente discrepa de la existencia de las agravantes recogidas en la resolución sancionadora, con excepción de la recogida en el art. 83.2.e) del RGPD: "toda infracción anterior cometida por el responsable del tratamiento;".

La primera agravante que se tiene en cuenta en la resolución sancionadora es la del art. 83.2.a) del RGPD, que establece: "La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido".

De dicha agravante se tiene en cuenta por la AEPD, las circunstancias de la gravedad de la infracción, la duración de la misma y el número de interesados afectados.

Respecto a la gravedad de la infracción, se dice por la parte actora que la realización de pagos online al ser necesario para la confirmación de transacciones, es algo en lo que Telefónica Móviles no ha tenido ningún poder de decisión, y no tiene nada que ver con el tratamiento que realiza de los datos de los clientes en la emisión de duplicados de tarjeta SIM.

Dicho argumento no es atendible, como hemos relejado anteriormente, debido a que el duplicado de la tarjeta SIM es un elemento empleado para la realización de transacciones fraudulenta, como ya ha quedado expuesto.

Por otro lado, en cuanto a la duración de la infracción, se dice por la sociedad recurrente que el mismo se debe circunscribir al periodo de las tres reclamaciones referentes a la gestión de los duplicados de tarjeta SIM tramitados por Telefónica Móviles.

Pues bien, a raíz de la información facilitada por la parte actora, se comprobó la existencia de otros casos en que se realizaron duplicados de tarjetas SIM de forma fraudulenta, en concreto, 156 en el año 2019 y de 17 casos que van desde el 14 de enero al 12 de junio de 2020.

En relación número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido, se señala por la parte actora, que hay que tener en cuenta que se debe circunscribirse a las tres reclamaciones objeto del expediente sancionador, y, en cuanto a los daños ocasionados, que no se le puede atribuir los daños derivados del fraude bancario.

En cuanto al número de interesados afectados, nos remitimos a lo dicho anteriormente, y en relación con los daños ocasionados, en la resolución sancionadora no se le atribuye a la parte actora responsabilidad por el fraude bancario. Y, así se dice en dicha resolución que: "... si TME asegurase el procedimiento de identificación y entrega, ni siquiera podría activarse el sistema de verificación de las entidades bancarias. La persona estafadora tras conseguir la activación de la nueva SIM, toma el control de la línea telefónica, pudiendo así, a continuación, realizar operaciones bancarias fraudulentas accediendo a los SMS que las entidades bancarias envían a sus clientes". Debemos añadir en relación con los daños y perjuicios que, abarcan no solo los económicos sino también los inmateriales, como resulta del Considerando 75 del RGPD.

Por tanto, cabe apreciar la agravante que hemos analizado.

SÉPTIMO.- Otra agravante que se ha tenido en cuenta, es la intencionalidad o negligencia en la infracción del art. 83.2 b) del RGPD. Según la parte actora no procede apreciar dicha agravante ya que ha demostrado, como responsable del tratamiento, disponer de medidas técnicas y organizativas apropiadas, teniendo en cuenta la naturaleza, ámbito, contexto y los fines del tratamiento, así como los riesgos inherentes a la actividad. Y todo ello, tomando en consideración, además, que Telefónica Móviles es una empresa que maneja una gran cantidad de datos y que la actividad que realiza es de gran envergadura, siendo el número total de clientes de esta compañía a cierre enero de 2020 de 8.142.352 personas.

Así las cosas, ha resultado acreditada la actuación negligente de la sociedad recurrente al no establecer los medios necesarios para evitar que se produjese una suplantación de identidad. Y además se debe señalar, como se dice en la resolución recurrida: "Una gran empresa que realiza tratamientos de datos personales de sus clientes a gran escala, de manera sistemática y continua, debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos...".

Y, en cuanto a la sentencia invocada en la demanda de esta Sección de 25 de octubre de 2013 -recurso nº. 357/2021-, hay que tener en cuenta de que la normativa aplicable era la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en la que se establecía en el art. 45.4.e) como un criterio a tener en cuenta para la graduación de la sanción, el volumen de negocio o actividad del infractor, cosa que no acontece con la normativa aplicable al caso que nos ocupa.

Por tanto, dicha agravante procede apreciarla. Como igualmente, y, por las mismas razones, la agravante recogida en el art. 76.2 b) de la LOPDGDD: "La vinculación de la actividad del infractor con la realización de tratamientos de datos personales", pues la discrepancia de la parte actora se funda en las alegaciones realizadas en relación con la agravante de intencionalidad o negligencia en la infracción.

También discrepa la parte actora, de la existencia de la agravante del art. 83.2 d) del RGPD: "el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;".

Se dice por la sociedad recurrente, que como responsable del tratamiento ha demostrado que tiene unas medidas implementadas adecuadas, que dispone de unos mecanismos de control internos para comprobar el cumplimiento de estas medidas, y que realiza continuas mejoras en sus protocolos en el buen entendimiento de que el riesgo no es estático, y que hay que ir adaptándose a él.

La concurrencia de dicha agravante se deriva que ha quedado demostrado la insuficiencia de las medidas que tenía la parte actora, siendo un dato importante, el que a raíz de la investigación iniciada y ha incrementado las medidas de seguridad con el fin de poder garantizar la identidad del cliente.

Por tanto, la sociedad demandante es responsable de no haber hecho todo lo que podía esperarse que hiciera, habida cuenta de la naturaleza, los fines o el ámbito de la operación de tratamiento, de conformidad con las obligaciones que le impone el RGPD.

Por otro lado, la sociedad recurrente discrepa de la existencia de la agravante del art. 83.2 g) del RGPD: "las categorías de los datos de carácter personal afectados por la infracción;".

Se argumenta al respecto, que los datos tratados por Telefónica Móviles para identificar a sus clientes en las gestiones que realizan para la obtención del duplicado de tarjeta SIM son el nombre, apellidos y DNI de la persona, es decir, datos que no se categorizan como sensibles conforme el art. 9 del RGPD, y en consecuencia no requieren de una mayor observancia a la hora de su tratamiento.

La resolución sancionadora se dice que se trata de un dato de naturaleza sensible se trata "de la tarjeta misma como dato personal asociada a una línea de telefonía titular de un usuario, que se obtiene con la finalidad de suplantar su personalidad para obtener acceso -entre otros-a las aplicaciones bancarias o comercio electrónico con la finalidad de interactuar y realizar operaciones en su nombre (...)".

Argumentación que desvirtúa lo alegado por la actora y pone de relieve que se trata de un dato personal cuyo acceso no autorizado es particular grave. Ello, sin perjuicio, de que para la expedición del duplicado de la citada tarjeta se han tratado datos de carácter personal tales como el nombre y apellidos y DNI del titular.

OCTAVO.- En relación con las atenuantes, la resolución sancionadora ha apreciado las siguientes: "medidas tomadas por el responsable para paliar los daños y perjuicios sufridos por los interesados" (art. 83.2 c) del RGPD); "grado de cooperación con la autoridad de control" (art. 83.2 f) del RGPD ); "la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42" (art. 83.2 j) del RGPD); "Los beneficios obtenidos como consecuencia de la comisión de la infracción" (Art. 76.2 c) de la LOPDGDD): y el " Sometimiento a mecanismos de resolución de conflictos" (art. 72.2 h) de la LOPDGDD).

Para la parte actora también se tendría que apreciar la atenuante del art. 83.2 k) del RGPD: "cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción". Se dice que Telefónica Móviles no ha obtenido ningún beneficio económico. Muy al contrario, es una víctima más en este tipo de acciones.

Pues bien, dicha atenuante no procede apreciarla, ya que la sociedad recurrente no acredita la existencia de las pérdidas económicas sufridas.

Según la parte recurrente, también cabría apreciar la atenuante del art. 76.2 d) de la LOPDGDD: "La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción".

Se señala por dicha parte, que el fraude del "SIM Swapping" se produce tras una primera fase en la que el defraudador consigue acceder a la información personal y confidencial de la víctima a través de diversas técnicas como "phising", ingeniería social o robo de información. Por consiguiente, la diligencia del interesado, que en este caso es el cliente al que se le suplanta la identidad, a la hora de custodiar sus datos personales para evitar este robo de información, está directamente relacionado con la siguiente fase, que es la obtención del duplicado de tarjeta SIM.

Pues bien, procede desestimar la apreciación de dicha atenuante, ya que la infracción imputada del art. 5.1.f) del RGPD, es por falta de garantías de las medidas de seguridad, y es una obligación impuesta por el ordenamiento jurídico al responsable del tratamiento, de la que la que la parte actora es responsable, de tal forma que la conducta del interesado es independiente del deficiente establecimiento, mantenimiento o control de las medidas de seguridad fijadas por el responsable del tratamiento. La infracción es ajena a la actuación del interesado y nada de lo que haga este último influiría en su comisión.

Además, tenemos que añadir, como se dice en la resolución sancionadora que: "La actuación de un tercero, en lo que podríamos denominar una segunda fase -tras una primera de obtención de los datos-, frente al responsable del tratamiento y la conducta del tercero respecto a la inducción de la comisión de la infracción, excedería del ámbito de actuación del afectado. El interesado no controla ni lo que hace el tercero con sus datos ni el comportamiento del tercero. Además, el legislador ha mencionado sólo al afectado y no a un tercero en la literalidad del precepto".

Así las cosas, atendidas las circunstancias concurrentes en el presente caso, estima la Sala que la resolución sancionadora no ha infringido el principio de proporcionalidad en la determinación de la sanción impuesta, que resulta ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración.

En consecuencia, procede desestimar el presente recurso contencioso-administrativo.

NOVENO.- A tenor del art. 139.1 de la Ley de la Jurisdicción, procede imponer las costas procesales a la parte actora.

VISTOS los artículos citados, y demás de general y pertinente aplicación.