La Audiencia Nacional tumba recursos de Digi contra multas de 620.000 euros por protección de datos
El tribunal confirma siete multas por duplicados de tarjetas SIM no autorizados
Archivo – Edificio de Digi
Comentarios
La Audiencia Nacional ha dado carpetazo a Digi en su batalla contra la Agencia Española de Protección de Datos (AEPD). El tribunal ha desestimado diferentes recursos presentados por la operadora contra sanciones por fallos en la gestión de duplicados de tarjetas SIM que terminaron facilitando casos de suplantación de identidad y, en algunos casos, el acceso de terceros a cuentas bancarias de clientes. Las multas, que ahora quedan avaladas por la Justicia, suman 620.000 euros.
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha dictado hasta siete sentencias el pasado septiembre sobre expedientes diferentes que tumban los recursos de la teleco rumana, según la documentación consultada por ECONOMÍA DIGITAL.
En seis de ellos la sanción impuesta por protección de datos era de 70.000 euros, mientras que en uno de los casos la multa alcanzaba los 200.000 euros.
El núcleo de todas las sanciones administrativas contra la teleco que lidera Marius Varzaru en España es hasta qué punto una compañía de telecomunicaciones debe garantizar que la persona que solicita un duplicado de una SIM es realmente el titular de la línea.
El duplicado de una tarjeta permite trasladar el número de teléfono del cliente a una nueva SIM. Si quien consigue ese duplicado no es el verdadero titular, puede hacerse con el control de la línea y recibir los códigos de verificación enviados por SMS por bancos, redes sociales u otros servicios. Se trata de una técnica conocida como SIM swapping.
En distintos momentos entre 2021 y 2022, terceros lograron hacerse pasar por clientes de Digi, superar los mecanismos de identificación de la compañía y obtener nuevas tarjetas SIM. En algunos de los expedientes, los afectados denunciaron posteriormente transferencias bancarias que no habían autorizado.
La defensa de Digi ha seguido una línea similar en los distintos procedimientos, argumentando que los defraudadores conocían previamente datos personales de los clientes y que sus empleados o distribuidores habían seguido los protocolos establecidos para comprobar la identidad.
También sostuvo en algunos casos que el fraude debía atribuirse a terceros —como las entidades bancarias— y que la mera existencia de un duplicado fraudulento no significaba que Digi hubiera tratado ilícitamente los datos personales.
La Audiencia Nacional considera insuficientes los protocolos de Digi
La Audiencia Nacional, sin embargo, no comparte ese planteamiento. Los magistrados que han desestimado los recursos de Digi consideran que la tarjeta SIM y los datos asociados a ella permiten identificar al titular de una línea y, por tanto, están vinculados al tratamiento de datos personales.
La emisión de un duplicado no solicitado por el verdadero cliente constituye, por ello, una operación que debe estar respaldada por una base legal y realizarse con las garantías necesarias, según los argumentos esgrimidos por la sala de lo Contencioso-Administrativo en diferentes sentencias.
El tribunal tampoco considera suficiente que Digi dispusiera de protocolos internos, sino que lo relevante es que las medidas fueran realmente eficaces para impedir que un tercero pudiera hacerse pasar por el titular.
En varios de los casos analizados, la compañía no consiguió acreditar ante el tribunal que las comprobaciones de identidad se hubieran realizado correctamente. De hecho, uno de los expedientes resulta especialmente significativo porque la operadora ya había detectado un primer intento de suplantación.
El 7 de enero de 2022 se produjo un primer intento de duplicado que Digi llegó a cancelar y que provocó que se introdujera una advertencia interna sobre un posible caso de robo de identidad. Dos días después, sin embargo, se produjo un nuevo intento y el tercero consiguió finalmente hacerse con una SIM en un distribuidor.
La compañía rumana también puso sobre la mesa las medidas adoptadas después de los incidentes, llegando a suspender temporalmente a distribuidores implicados y posteriormente reforzó sus procedimientos de seguridad.
No obstante, la Audiencia Nacional considera que son medidas posteriores que no eliminan la responsabilidad por lo ocurrido. Otro de los casos terminó con la multa más elevada, de hasta 200.000 euros.
En ese expediente, la AEPD tuvo en cuenta, entre otros elementos, que Digi ya había sido sancionada anteriormente por hechos similares. El regulador consideró esa reiteración como un factor agravante a la hora de fijar la cuantía de la multa.
Digi refuerza sus procedimientos internos y estudia recurrir ante el Supremo
Fuentes de la compañía explican a este medio que las sanciones se corresponden a «un reducido número de casos» relacionados con SIM swapping ocurridos entre 2020 y 2023.
Desde entonces, Digi asegura que «ha reforzado aún más» sus procedimientos de verificación de identidad y prevención del fraude, incorporando medidas adicionales dirigidas específicamente a neutralizar este tipo de delitos.
«Estas medidas han permitido reducir de forma drástica la incidencia de este tipo de fraude entre usuarios de nuestros servicios», señalan desde la teleco rumana..
En cualquier caso, la operadora insiste en que ya contaba con mecanismos específicos de identificación y verificación para la emisión de duplicados SIM, y que los incidentes tuvieron su origen en acciones delictivas de terceros mediante ingeniería social, falsificación de documentos y suplantación de identidad.
Así, la posición de Digi sostiene que la materialización de un fraude por un tercero no permite concluir automáticamente que no existieran medidas de identificación adecuadas o que éstas fueran necesariamente insuficientes.
En las sentencias, la Audiencia Nacional mantiene el criterio de la AEPD respecto de la suficiencia y aplicación de las medidas existentes en aquel momento, pero reconoce explícitamente la existencia de procedimientos de control.
Por todo ello, la compañía está analizando la viabilidad y conveniencia de recurrir las sanciones ante el Tribunal Supremo.
Dos millones en sanciones
En cualquier caso, los 620.000 euros en sanciones que la Audiencia Nacional ha confirmado son solo una parte del historial de Digi en materia de protección de datos.
La compañía acumula desde hace años sanciones relacionadas principalmente con duplicados fraudulentos de SIM y deficiencias en los procedimientos utilizados para comprobar la identidad de los clientes que se elevan a casi dos millones de euros.
En septiembre de 2026, la AEPD impuso una multa de 120.000 euros contra Digi, que se sumaba a otra de 130.000 euros comunicada el pasado febrero. El frente judicial, por tanto, sigue abierto para Digi.
La compañía ha recurrido varias de estas sanciones ante la Audiencia Nacional, pero las siete resoluciones dictadas ahora dejan a la compañía sin argumentos. Según los tribunales, Digi debe demostrar que sus controles internos son adecuados y que funcionan.
